GoLand 识别不到 db.Query 参数化占位符，因其默认不校验 SQL 方言，需手动配置方言文件、安装 SQL Dialects 插件或添加 // language=MySQL 注释来启用占位符匹配提示。
GoLand 识别不到 db.Query 参数化占位符怎么办
GoLand 默认不校验 SQL 占位符是否匹配驱动类型，也不会报 ? 和 $1 混用问题——它只当普通字符串高亮。这不是 IDE 的疏忽，而是 database/sql 本身不解析 SQL，校验责任在驱动和运行时。
实际影响是：你写了 db.Query("SELECT * FROM users WHERE id = $1", id)（MySQL 环境），GoLand 不会标红，但运行时报 sql: expected 0 arguments, got 1 或静默查不到数据。
解决方法只有两个：
- 在项目根目录加
.goland.sql.dialect文件，写入mysql或postgres，强制 GoLand 按对应方言校验占位符 - 安装插件
SQL Dialects Support（JetBrains 官方），启用后对db.Query、db.Exec调用自动检测占位符合法性 - 把所有 SQL 字符串字面量提取成常量，配合
// language=MySQL或// language=PostgreSQL注释，触发语法高亮与参数匹配提示
为什么 sqlx.NamedQuery 在 GoLand 里没参数补全
NamedQuery 依赖运行时 map 结构推导绑定名，GoLand 静态分析无法得知 args["name"] 是否真被用在 :name 占位符里。它不报错，但也不提示缺失 key，容易漏绑。
常见翻车点：
- 拼错 key 名：
args["user_name"]但 SQL 里写WHERE name = :name→ 查询永远无结果，IDE 不提醒 - 忘记赋值：
if age > 0 { query += " AND age > :age"; args["age"] = age }，但age是 0 时整个条件没进 map，也没 warning -
NamedQuery不支持IN直接传 slice，必须用sqlx.In+Rebind，而 GoLand 对sqlx.In返回的query, args无法关联原始 SQL
建议：用 struct 替代 map 构造参数，字段加 db:"name" tag，GoLand 能跳转到字段定义，且 sqlx.StructScan 报错更早暴露字段名不一致问题。
db.Raw 调用被 gosec 标记后，GoLand 怎么快速确认是否安全
GoLand 本身不集成 gosec，但能通过右键菜单 “Run gosec” 触发扫描。关键不是“有没有标红”，而是看标红位置是否落在参数化调用上。
安全的 Raw 必须满足三个条件，缺一不可：
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
- SQL 字符串里**只有**
?或$1占位符，**没有**任何+、fmt.Sprintf、strings.Join - 占位符数量与后续参数个数严格相等（例如
db.Raw("WHERE a = ? AND b = ?", x, y)✅；db.Raw("WHERE a = ?", x, y)❌） - 参数中**不包含表名、字段名、ORDER BY 子句**——这些必须提前白名单校验，再拼进 SQL 字符串（如
"ORDER BY " + safeSortField）
GoLand 里按 Ctrl+Click 点击 Raw 调用，能直接跳到该行。如果看到参数是变量名而非字面量，就立刻检查这个变量是否来自用户输入、是否经过白名单过滤。
动态表名/字段名拼接时，GoLand 能不能标出风险
不能。GoLand 把 "SELECT * FROM " + tableName + " WHERE id = ?" 当作合法字符串拼接，连警告都不会给。这是设计使然：标识符（表名、列名、排序方向）本就不能参数化，IDE 无法替代业务逻辑做白名单判断。
唯一能落地的防护是：把所有允许的标识符写死为 const 或 map，并在拼接前强制校验。
示例：
var allowedTables = map[string]bool{"users": true, "orders": true}
if !allowedTables[tableName] {
return errors.New("invalid table name")
}
query := "SELECT * FROM " + tableName + " WHERE id = ?"
这种写法 GoLand 不会报错，但如果你把 allowedTables 定义在别处，按 Ctrl+Click 能快速定位校验逻辑——这比指望 IDE 标红更可靠。
真正容易被忽略的是：白名单校验必须在 SQL 拼接**之前**完成，且不能只校验一次。比如分库场景下，tableName 可能是 "users_2024"，这时白名单得是前缀匹配或正则，而不是简单 map[string]bool 查表。
